• 한국콘텐츠학회논문지
• /
• 제7권11호
• /
• pp.94-101
• /
• 2007

본 논문에서는 알려지지 않은 변형 웜을 탐지하기 위한 방법을 제안한다. 그 방법으로, 페이로드 영역에서 시그니쳐 생성 방안들을 패턴인식 알고리즘으로 연구되었던 Suffix Tree중에서 Longest Common Subsequence(LCSeq) 기법을 이용하여 새로운 시그니쳐를 자동적으로 생성할 수 있는 프로그램을 설계하여 구현하였다. 테스트를 통해 코드레드 웜과 님다 웜의 변종을 검출하는 과정을 보여주고 기존 snort의 시그니쳐와 LCSeq를 이용해 생성된 시그니쳐를 비교 평가하였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2010년도 추계학술발표대회
• /
• pp.1252-1255
• /
• 2010

기존의 단일 시그니쳐를 이용한 악성 코드 침입 탐지 시스템은 자신의 컨텐츠를 변형시키는 변형웜을 잡기에는 적합하지 않다. 변형웜을 탐지하기 위한 노력으로 변형웜에 적합한 시그니쳐를 만들기 위한 노력이 있어왔다. 이 연구는 기존의 변형웜 탐지 시그니쳐 방법들을 분석하고 비교하여, 상호 보완적인 멀티 시그니쳐 방법을 제안한다. 이 방법은 정확도 높은 변형웜 탐지 시스템을 구성하기 위한 근본 기술로 활용될 것으로 기대한다.

• 한국산학기술학회논문지
• /
• 제7권6호
• /
• pp.1206-1213
• /
• 2006

자기 전파하는 웜들의 속도가 사람이 대응하는 속도 보다 매우 빠르기 때문에 zero-day 웜들을 봉쇄하기 위해서는 웜 시그니쳐의 빠른 검출과 자동생성이 필수적이다. 본 논문에서는 웜 공격에 대응 할 수 있는 시그니쳐 자동생성 방법을 제안하고, 제안한 방법의 프로토타입을 구현하여 DHT 기반 네트워크에 적용하여 웜 시그니쳐를 생성함으로써 제안한 방법의 유효성을 보이도록 한다.

• 정보처리학회논문지C
• /
• 제13C권7호
• /
• pp.821-830
• /
• 2006

전 세계적으로 큰 피해를 주는 웜을 탐지하고 필터링 하는 것은 인터넷 보안에서 큰 이슈중의 하나이다. 웜을 탐지하는 하나의 방법으로서 리눅스 넷필터 커널 모듈이 사용된다. 웜을 탐지하는 기본 동작으로서 스트링 매칭은 네트웍 상으로 들어오는 패킷을 미리 정의된 웜 시그니쳐(Signature, 패턴)와 비교하는 것이다. 웜은 하나의 패킷 혹은 2개(혹은 그 이상의) 연속된 패킷에 나타난다. 이때, 웜의 일부분은 첫 번째 패킷에 있고 나머지 부분은 연속된 패킷 안에 있다. 웜 패턴의 최대 길이가 1024 바이트를 넘지 않는다고 가정하면, 2048 바이트의 길이를 가지는 2개의 연속된 패킷에 대해서 스트링 매칭을 수행해야만 한다. 이렇게 하기 위해, 리눅스 넷필터는 버퍼에 이전 패킷을 저장하고 버퍼링된 패킷과 현재의 패킷을 조합한 2048 바이트 크기의 스트링에 대해 매칭을 수행한다. 웜 탐지 시스템에서 다루어야 하는 동시 연결 개수의 수가 늘어날수록 버퍼(메모리)의 총 크기가 증가하고 스트링 매칭 속도가 감소하게 된다. 이에 본 논문에서는 메모리 버퍼 크기를 줄이고 스트링 매칭의 속도를 증가시키는 버퍼를 이용하지 않는 스트링 매칭 방식을 제안한다. 제안된 방식은 이전 패킷과 시그니쳐(Signature)의 부분 매칭 결과만을 저장하고 이전 패킷을 버퍼링하지 않는다. 부분 매칭 정보는 연속된 패킷에서 웜을 탐지하는데 사용된다. 제안된 방식은 리눅스 넷필터 모듈을 수정하여 구현하였고, 기존 리눅스 넷필터 모듈과 비교하였다. 실험 결과는 기존 방식에 비해 25%의 적은 메모리 사용량 및 54%의 속도 향상을 가짐을 확인하였다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2005년도 한국컴퓨터종합학술대회 논문집 Vol.32 No.1 (A)
• /
• pp.325-327
• /
• 2005

전 세계적으로 큰 피해를 주는 웜을 탐지하는 대표적인 방식으로 스트링 매칭을 이용한 방법이 있다. 스트링 매칭은 네트웍상의 패킷을 자신이 가진 시그니쳐(규칙)와 매칭을 해서 웜을 탐지하는 방법으로 동작하는데 매칭시에 필요한 버퍼(메모리)의 사용량으로 인한 단점을 가진다. 즉, 동시에 매칭해야 하는 패킷수가 늘어남에 따라 버퍼(메모리) 사용량도 급격하게 증가하고 버퍼링된 이전 데이터에 대한 매칭으로 속도 지연이 발생하는 단점을 가진다. 이에 본 논문에서는 기존 방식에 비해 적은 메모리 사용량 및 속도 향상을 가지는 버퍼를 이용하지 않는 스트링 매칭 방식을 제안한다. 제안된 방식은 기존 데이터에 대한 매칭 정보만을 기억하고 버퍼링을 하지 않는 방식으로 실험을 통해 기존 방식에 비해 적은 메모리 사용량 및 속도 향상을 가짐을 확인하였다.